翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
ドキュメントレベルのアクセスコントロール
ACL 対応は認可ではありません
Bedrock マネージドナレッジベースは、セキュリティ境界ではなく、ACL 対応のフィルタリングを提供します。Bedrock Managed Knowledge Base はエンドユーザーを認証しません。アプリケーションはユーザーを認証し、検証済みの ID コンテキストを渡す責任があります。Bedrock マネージドナレッジベースは、指定したユーザーコンテキストの信頼性を検証できないため、この機能は指定した ID に基づいて結果をフィルタリングしますが、真の認可を構成するものではありません。アップストリーム認証なしでは、この機能を唯一のアクセスコントロールメカニズムとして使用することはできません。
ボックスデータソースは、オプションでドキュメントレベルのアクセスコントロールをサポートします。有効にすると、Bedrock Managed Knowledge Base はクロールのたびに Box からアクセスコントロールリスト (ACLs) を同期し、クエリ時に各ユーザーのアクセス許可を検証するため、ユーザーは Box でアクセスが許可されているファイルの結果のみを表示できます。ドキュメントレベルのアクセスコントロールには、クライアント認証情報付与認証が必要です。すべてのコネクタにおける ACL 対応の概要については、「」を参照してくださいアクセスコントロールリストの意識向上の有効化。
仕組み
ユーザーが ACL 対応の Box データソースを使用するナレッジベースにクエリを実行すると、Bedrock Managed Knowledge Base は 2 つの段階でアクセスコントロールを適用します。
-
取得前フィルタリング — Bedrock Managed Knowledge Base は、前回のクロール中に Box から同期されたアクセスコントロールリストを適用し、ユーザー (またはそのグループ) がアクセスできる候補ドキュメントのみを返します。
-
リアルタイム検証 — Bedrock マネージドナレッジベースは、Box でクエリを実行するユーザーの現在のアクセスを確認して、候補ドキュメントをリアルタイムで検証します。現在アクセスが許可されているドキュメントのみがレスポンスに含まれます。
この 2 段階のアプローチは、同期間で Box のアクセス許可が変更されても最新の状態を維持するドキュメントレベルのアクセスコントロールを提供します。
